Sigurnosna knjiga za oblak smb

Prvo pravilo u ovom malom srednjem poslovnom (SMB) Cloud Security Playbooku je da smo u njemu kako bismo ga osvojili. Da se ne snalaze ili ne štede dovoljno sitnih gotovina za kupnju kave ili za praćenje gomile. Radi se o podizanju tvrtke na novu razinu, istodobno uštedom novca i poboljšanjem sigurnosti. Ako ne očekujete sve te prednosti od vašeg prelaska u oblak, onda ste u pogrešnoj igri.

Prelazak u oblak je strateški i isplativ. Ne tretirajte premještanje u oblak kao potpunu misao. Stavite dobre, iskusne radnike, a ne pripravnike sa skraćenim radnim vremenom.

Bilo da su vaša glavna djelatnost automobilski dijelovi, planiranje događaja ili čak računalni softver, cilj ove knjige će vam pomoći da se usredotočite na vašu središnju viziju. U velikoj mjeri rad s računalom samo je distrakcija. Ponuda IT-a sada je dovoljno rutinska da je bolje povjeriti je vanjskom prodavaču, a ne da vlastiti zaposlenici to pokušavaju učiniti. Pravim odabirom oblaka vaša će organizacija uštedjeti kapitalne troškove, steći operativnu sigurnost i biti bržija i brži.

Prilika da spoznate sebe

Tvrtke su u pravu zabrinute zbog sigurnosti oblaka. Izravni i neizravni troškovi nedavnih kršenja podataka u tvrtkama kao što su Anthem, Ashley Madison, CVS, Experian, Scottrade, Target i Trump Collection jednostavno su nevjerojatni. Neuspjesi nisu posebno bili rezultat ranjivosti u oblaku; oni su bili slom temeljnih politika i izvršavanja unutar tvrtki.

"Oblak" pokriva ogroman raspon ponuda. Za jednu tvrtku moglo bi biti izmjenjivač igara da bi usvojila jednostavnu internetsku uslugu kako bi radne karte radnika zamijenili umreženim alatom. Druga bi se tvrtka mogla odlučiti da joj ne treba ništa manje od čitavog centra podataka kao usluga (DCaaS), kojem se pristupa putem stolnih računara (DaaS) i ojačanog oporavkom od katastrofe-kao-usluge (DRaaS), a sve se preselilo van prostorija. Treća tvrtka mogla bi potpuno skočiti u oblak, ali privatna na fizičkom mjestu koja je u skladu s zakonskim propisima.

Detalji sigurnosti u oblaku razlikovat će se između ovih primjera, ali mnogi su temelji identični:

1. Dajte svakom zaposleniku vlastitu prijavu.

2. Stvorite standardni postupak povlačenja računa kad zaposlenici odlaze.

3. Omogućite pisane upute administratora za sigurnosne kopije i podršku u oblaku.

4. Stvorite poslovne odnose između svoje organizacije i dobavljača sigurnosti u oblaku prije nego što se dogodi hitan slučaj.

5. Vi i vaš davatelj usluga trebali biste imati razumljiv, izričit dogovor o očekivanjima sporazuma o razini usluge (SLA), uključujući učestalost isključenja i akcijski plan prekida rada.

Baš kao što formalni poslovni plan pomaže da najbolje iskoristite svoju organizaciju u cjelini, isplati se imati eksplicitne zapise o IT zahtjevima koji pokrivaju tokove rada, snage i slabosti. Jedan važan aspekt planiranja je intervjuirati ključne vlasnike radnog opterećenja u vašoj organizaciji kako biste potvrdili precizne detalje o tome kako vaše poslovanje posluje. Obavezno migrirajte stvarno radno opterećenje, a ne ono što pamtite da je moglo biti u prošlosti.

Također, planirajte eksplicitni slijed svoje migracije. Potražite slabo viseće voće; prvo premjestiti prijenosne prijenosne tokove s niskim rizikom i visokim povratom. Učite od ranih migracija i ažurirajte svoj obrazac migracije kako prelazite na neizvjesnije ili opasnije migracije (ili odlučite, na temelju svog iskustva, da određeni tijek rada izbijete iz oblaka).

Kad prvi put napišete zahtjeve, nećete biti savršeni u tome. U redu je pokrenuti plan, mislite da ste ga sve snimili, počnite ovisiti o oblačnim uslugama, a zatim zaključite da stvari jednostavno nisu ugodne. Velika vrijednost vašeg prvog ugovora mogao bi biti učenje onoga što je učinkovito. Nema sramote u prebacivanju dobavljača rano. Do mnogih vrijednih kršenja podataka dolazi kada organizacija postane rutina da „zaobiđe“ dobronamjerne, ali neprimjerene standarde. Većina usluga u oblaku izričito nudi probni mjesec ili slično; očekujte da će iskoristiti ove "testne pogone".

Zapamtite: Što jasnije shvatite što vam je doista važno, to je veća vjerojatnost da ćete ga primiti. U sažetku, možete zatražiti davatelja usluga oblaka za sve, od sigurnosti mobilne telefonije i dijeljenja datoteka i sigurnosnih kopija, do funkcionalnosti (LOB), uključujući računovodstvo, zalihe i planiranje resursa u poduzeću (ERP). Vi najbolje znate koji bi trebali biti vaši prioriteti. Ne uzimajte samo ono što vam se nudi; razmislite kroz što najviše profitira vaše poslovanje.

Znajte svoje podatke

Moderna poduzeća koja prepoznaju njihove podatke zaslužuju posebnu pozornost. U velikoj mjeri mogu se zamijeniti ili prenijeti drugi dijelovi poslovanja. No ključni podaci - o kupcima, zaposlenicima, procesima i svojstvima - čine jedinstvenu vrijednost tvrtke.

Stoga bi vaš plan migracije trebao sadržavati, jasno i konkretno, ne samo ono što radite i kako ćete to raditi u oblaku, već i kako ćete ključne podatke o tvrtki čuvati sigurno. E-pošta je uobičajeno opterećenje za prelazak u oblak. Iako je e-pošta često bogata informacijama o vlasništvu, to je i zrela tehnologija i ona koja oblak donosi dobro. Nekoliko neovisnih analitičara zaključilo je da je hosting e-pošte u oblaku općenito sigurnije od upravljanja uslugom e-pošte. Međutim, ako imate posebne zahtjeve za e-poštu (poput zakonskog ograničenja za pohranu u određenoj jurisdikciji) morat ćete prilagoditi svoj plan tako da to uračuna.

Programi prilagođeni transakcijama s kupcima ili industrijskim procesima imaju suprotan profil. Ne postoji dobavljač oblaka koji pruža vašu jedinstvenu uslugu. S druge strane, čak i najneobičniji, vlasnički i privatni softver mogu se pokrenuti na virtualnim računalima (VM-ima) iznajmljenim iz oblaka. Moguće je zadržati pohranu podataka u svojoj organizaciji, ali oslanjati se na oblaku koji će raditi na njima. To pretvara kapitalne izdatke (CAPEX) nabavne poslužitelje u prilagodljivi operativni izdatak (OPEX).

Pitajte što želite

Rad na računalu uglavnom je rutinski, ali poslovni modeli oko njih još uvijek nisu u potpunosti zagađeni. Neki su dijelovi oblaka temeljito standardizirani. Na primjer, svakodnevno tisuće ljudi primaju nove, besplatne račune e-pošte od Googlea, Microsofta, Yahooa i tako dalje. Nijedan čovjek ne intervenira.

Ipak, specijalizirane usluge oblaka obično imaju pomoćno osoblje. Možete i trebate postavljati pitanja. Ako vam određena usluga u oblaku izgleda baš kako treba, osim što ne pruža izvješća odgovarajućeg formata vašem računovodstvenom sustavu, iznesite to kod davatelja usluga. Često se mogu dogovoriti koji se ne pojavljuju na njihovim javnim stranicama.

U velikoj mjeri pitanje u oblaku nije: "Trebamo li usvojiti?" Vaši zaposlenici već koriste usluge oblaka bez obzira da li ih shvaćate ili ne. Važnije pitanje u oblaku je "Koji dobavljač najbolje odgovara?" Ako trebate revizijske operacije da biste ispunili Zakon o prenosivosti i odgovornosti zdravstvenog osiguranja (HIPAA) ili Sarbanes-Oxleyjev zakon (SOX), recite to. Ako vam čitanje zapisnika o napuštenim pokušajima upada pruža utjehu, zatražite ih. Većina pružatelja usluga razumije da dobri kupci formiraju dugoročne veze i surađivat će s razumnim zahtjevima. Jedna od velikih prednosti pouzdanja u oblak je to što možete imati stručnjake svjetske klase koji rade za vas. Iskoristite ovo na najbolji način.

Dodijelite pobjedničkog prvaka

Dodijelite odgovornost za uspjeh vaše tvrtke u oblaku nekom kvalificiranom. Idealan kandidat treba pokazati nekoliko specifičnih kvaliteta:

1. Visok status unutar tvrtke.

2. Oduševljeni prilikama koje oblak nudi.

3. Osjetljiv je na sigurnosna pitanja.

4. Kompetentan u upravljanju projektima i operacijama.

5. Ambiciozan (na dobar način).

Iako je malo vjerojatno da ćete naći kandidata koji udovoljava svim kvalifikacijama, vrijedno je napora identificirati prvaka s najmanje dva ili tri odlika. Prvak ne mora biti certificirani stručnjak za sigurnost u oblaku ili čak imati IT odgovornosti s punim radnim vremenom. Entuzijazam i marljivost su važnije osobine.

Ako je organizacija dovoljno mala, prvak u oblaku može doći iz odjela za financije ili nabavu, nekoga tko privede savjetnike za pregled planova i rezultata revizije. Potražite savjetnike koji mogu jasno izraziti svoja dostignuća u poslovnom smislu; to su oni koji mogu kvantificirati radna opterećenja koja su rasteretili i obrađivati ​​vrijeme koje su smanjili, a ne samo moderne tehnologije u koje su se upustili.

Ostati u kontaktu

Netko posvećen vašoj tvrtki trebao bi ostati u kontaktu s vašim davateljem usluga. Povremeno nazovite, čitajte blogove ili izjave za novinare bilo kojeg pružatelja usluga i pitajte se o novim ponudama. Vjerojatno imate zaposlenika koji vam traži pronalazak specijalnih ponuda za sapun za ponovno punjenje ili zna koja blagajna u banci može ubrzati prepoznavanje depozita. Sigurnost podataka vitalne tvrtke zaslužuje barem toliko pozornosti prema detaljima.

To ne mora biti težak sudar; čak i samo sat tjedno može dramatično poboljšati uvid u to kako vaš pružatelj usluga djeluje i što to znači za vas. Pružatelji usluga često mogu sugerirati obuku o novim sigurnosnim prijetnjama, kako ih ublažiti, načinima na koji vaša tvrtka može bolje koristiti oblak (ponekad uz niže troškove!), Promjene koje su vjerojatno tijekom naredne godine i još mnogo toga. Iskoristite maksimum onoga što bi trebao biti strateški partner.

Vjeruj ali provjeri

Morate se u određenoj mjeri osloniti na svog davatelja usluga, ali ne ostavljajte se pretjerano ranjivim. Napravite DR planove koji predviđaju gubitak davatelja usluga. Pojedinosti ovise o tome što vam oblak pruža. DR može značiti bilo što, od izvlačenja rezervnog ZIP pogona iz ormara do vrućeg prelaska do potpuno opremljene DRaaS instalacije. Dobri davatelji mogu vam pomoći barem s dijelom planiranja, premda bi sigurnosne kopije i DR trebao pregledati neovisni savjetnik.

Treba li vaš plan DR sadržavati obrnuti element? Znači, način na koji možete nastaviti čak i ako oblak postane potpuno nedostupan ili se Internet raspada? Ovo se pitanje prekraja u filozofiju za kratak odgovor, ali ono što tvrtke mogu učiniti je uključiti u svoj plan eksplicitne razmatranja ekstremnih događaja i troškova povezanih s različitim protumjerama. Vaša je tvrtka možda imala jeftin plan za DR bez oslanjanja na Internet i odlučila da je zaštita korisna. Većina organizacija izrađuje relativno primitivne planove za DR i daju prednost svakodnevnom poslovanju. Iako je barem započinjanje vježbi DR edukativno i korisno iskustvo.

Neka to bude stvarno

Kad imate realna očekivanja u sigurnosti oblaka, u najboljem ste položaju za uspjeh. Da, možete kupiti terabajt prostora za pohranu u lokalnoj prodavaonici velikih pretinaca po šokantno niskim cijenama. Kad plaćate mjesečnu pretplatu za usluge u oblaku, imajte na umu da primate ne samo vrijednost diska, već i onaj koji se automatski izrađuje sigurnosna kopija, ventilira, radi putem velike brzine na internetsku podlogu i pročišćava se i nadzire zbog sigurnosnih opasnosti., Hardver čini manjinu troškova gotovo sve ponude u oblaku.

Čak i nakon što se preselite u oblak, vaše najveće računalne sigurnosne prijetnje ostat će interne unutar vaše tvrtke: krađe i drugi zločini zaposlenika. Vaš dobavljač može i treba vam pomoći u nadzoru poslovanja, ali, na kraju, vaša će vlastita kultura tvrtke odrediti velik dio sudbine vašeg putovanja kroz oblak. Poduzmite ovih osam koraka i vaša će migracija u oblaku uspjeti:

1. Igrajte se za pobjedu, ciljajte visoko i očekujete bolju sigurnost, niže troškove i više odziva.

2. Shvatite vlastite potrebe i iznesite ih pismeno.

3. Shvatite svoj specifičan profil sigurnosti podataka.

4. Pregovarajte mudro i tražite što vam treba.

5. Odredite prvaka u oblaku koji će pobijediti.

6. Ostanite u kontaktu.

7. Imajte povjerenja, ali provjerite da bi se osiguralo gubitak provajdera.

8. Neka to bude stvarno i prilagodite očekivanja.